BigQuery Dataform执行TAG时IAM权限拒绝问题排查请求

• TAG操作需要专属元数据权限：你当前配置的BigQuery Data Editor/Owner等角色，仅覆盖数据读写、任务执行这类常规操作，但TAG属于元数据管理范畴，需要bigquery.tags.create、bigquery.tags.update这类细粒度权限。直接给服务账号添加BigQuery Metadata Editor角色，就能覆盖TAG相关的读写权限。
• IAM权限存在生效延迟：刚配置完角色就执行操作的话，权限可能还未同步完成，最长可能需要等待10分钟左右再重试。
• 服务账号匹配错误：确认执行TAG时调用的确实是你配置了角色的dataform@.iam.gserviceaccount.com，有可能Dataform项目里指定的服务账号并非该账号，或是存在多账号混用的情况。
• 资源层级权限不匹配：如果TAG是针对特定数据集/表的，要确认角色是在对应的资源层级（比如项目、数据集）配置的，避免因权限继承问题导致无法操作。比如仅在表层级配置了角色，但TAG操作需要数据集层级的权限，就会触发报错。
• 组织级IAM政策限制：检查你的GCP组织是否有相关政策约束，比如禁止某些角色组合、限制TAG操作权限，这类组织级规则会覆盖项目级的IAM配置。

内容的提问来源于stack exchange，提问作者Stefano Giostra